Chatbot en GDPR: de regels die je moet volgen, met checklist
In het kort
Een AI-chatbot verwerkt persoonsgegevens en moet dus de GDPR volgen. Je hebt een rechtsgrond nodig, duidelijke informatie, minimale gegevens, een bewaartermijn, een contract met elke verwerker en een kader voor doorgifte buiten de EU. Sinds 2 augustus 2026 verplicht de AI Act je bovendien te melden dat iemand met een AI praat.
Om te onthouden
- Zodra een bezoeker zijn naam, e-mail of een persoonlijke vraag intypt, valt de chatbot onder de GDPR.
- Elke verwerking heeft een rechtsgrond nodig: vaak de uitvoering van een overeenkomst of het gerechtvaardigd belang.
- De bouwer van de chatbot en de aanbieder van het AI-model zijn verwerkers: een contract volgens artikel 28 is verplicht.
- De AI Act verplicht sinds 2 augustus 2026 om gebruikers te melden dat ze met een AI praten.
- Dit artikel is algemene informatie, geen juridisch advies: laat je eigen situatie nakijken.
Valt een chatbot onder de GDPR?
Ja, zodra de chatbot gegevens verwerkt waarmee je iemand kan identificeren. Een voornaam, een e-mailadres, een bestelnummer of een vraag over iemands situatie volstaat al.
De GDPR kijkt niet naar de technologie, maar naar de verwerking van gegevens. Een AI-chatbot is dus niet verboden en ook niet vanzelf conform: alles hangt af van het ontwerp. Hieronder overlopen we wat je moet voorzien, met een checklist op het einde.
Belangrijk: dit artikel is algemene informatie, geen juridisch advies. Laat je keuzes voor je eigen situatie nakijken door een jurist of je functionaris voor gegevensbescherming.
Welke rechtsgrond heeft een chatbot nodig?
Elk gebruik van gegevens moet steunen op een van de zes rechtsgronden van artikel 6 van de GDPR. Bij een chatbot komen er drie het vaakst terug.
| Gebruik door de chatbot | Vaak gebruikte rechtsgrond |
|---|---|
| Een vraag over een bestelling of dienst beantwoorden | Uitvoering van een overeenkomst of precontractuele maatregelen |
| De antwoorden verbeteren op basis van gesprekken | Gerechtvaardigd belang, na een belangenafweging |
| Achteraf commerciële aanbiedingen sturen | Toestemming, of de regels voor direct marketing |
| Gezondheidsgegevens of andere gevoelige gegevens verwerken | Strengere voorwaarden van artikel 9, liefst vermijden |
Noteer de rechtsgrond van elk gebruik in je register van verwerkingsactiviteiten. Kan je hem niet verantwoorden, dan is het gegeven vaak gewoon niet nodig.
Hoe informeer je de gebruikers van de chatbot?
De gebruiker moet vooraf of bij het begin van het gesprek weten wie zijn gegevens verwerkt, waarom en hoe lang. Dat is de informatie uit artikel 13 van de GDPR.
In de praktijk:
- een kort bericht in het chatvenster, met een link naar je privacybeleid;
- een aparte sectie over de chatbot in dat beleid: doelen, rechtsgrond, bewaartermijn, verwerkers, doorgifte, rechten;
- een duidelijke melding dat de assistent een AI is en geen mens.
Dat laatste is ook een verplichting van de AI Act, waarover verderop meer.
Welke gegevens verzamel je en hoe lang bewaar je ze?
De chatbot verzamelt alleen wat nodig is en bewaart het niet langer dan nuttig. Dat zijn de principes van minimale gegevensverwerking en opslagbeperking uit artikel 5.
Enkele concrete reflexen:
- vraag pas een e-mailadres of gsm-nummer als de opvolging dat rechtvaardigt, bijvoorbeeld een terugbelverzoek;
- geef de chatbot de instructie om nooit gevoelige gegevens of kaartnummers te vragen;
- maskeer onnodige gegevens automatisch in de logs (rekeningnummers, rijksregisternummers);
- leg een bewaartermijn vast voor gesprekken en verwijder of anonimiseer ze daarna automatisch.
Bij Ozapp draaien de oplossingen op Europese servers en blijft de klant eigenaar van zijn gegevens en gesprekken.
Wie zijn de verwerkers van een chatbot?
Elke dienstverlener die gegevens voor jouw rekening verwerkt, is een verwerker, en artikel 28 van de GDPR eist een contract met elk van hen. Bij een chatbot telt de keten vaak meerdere schakels.
- De partner die de chatbot bouwt en host.
- De aanbieder van het AI-model (OpenAI, Anthropic, Google of een andere).
- De kanalen: bijvoorbeeld Meta als de chatbot op WhatsApp of Messenger antwoordt.
- De gekoppelde tools: CRM, agenda, webshop, ticketingsysteem.
Check bij elk de verwerkersovereenkomst, het gebruik van data voor training en de plaats van verwerking. De zakelijke abonnementen van de grote aanbieders sluiten training meestal standaard uit; we vergelijken die opties in chatbot vs ChatGPT.
En de doorgifte van gegevens buiten de Europese Unie?
Doorgifte buiten de EU kan, maar moet omkaderd zijn volgens hoofdstuk V van de GDPR. Voor de Verenigde Staten zijn twee kaders gebruikelijk.
- Het EU-VS Data Privacy Framework: de Europese Commissie nam op 10 juli 2023 een adequaatheidsbesluit aan voor gecertificeerde Amerikaanse bedrijven.
- Standaardcontractbepalingen, samen met een analyse van het risico van de doorgifte.
Vaak is het eenvoudigst om diensten te kiezen die de gegevens in Europa verwerken of opslaan. OpenAI biedt bijvoorbeeld dataresidentie in Europa aan voor zijn API en Enterprise-abonnementen, onder voorwaarden.
Hoe ga je om met de rechten van gebruikers?
Wie met de chatbot praat, behoudt al zijn rechten: inzage, rectificatie, wissing, bezwaar, beperking en overdraagbaarheid. Je organisatie moet binnen een maand kunnen antwoorden, volgens artikel 12.
Concreet moet je de gesprekken van een persoon kunnen terugvinden, exporteren en verwijderen. Denk ook aan het geval waarin de chatbot een belangrijke beslissing over iemand neemt of voorbereidt: artikel 22 regelt volledig geautomatiseerde besluiten. Een collega die het overneemt, is dan de veiligste oplossing.
Wat verandert de AI Act voor een chatbot?
De AI Act voegt een transparantieplicht toe: de persoon moet weten dat hij met een AI praat. Artikel 50 van verordening (EU) 2024/1689 is van toepassing sinds 2 augustus 2026.
Voor een klantenservice-chatbot komt het neer op drie maatregelen:
- een welkomstbericht dat de assistent als AI voorstelt;
- een zichtbare vermelding in de interface;
- de mogelijkheid om een mens te bereiken als de vraag dat vereist.
Een gewone klantenservice-chatbot valt doorgaans niet onder de categorieën « hoog risico » van de AI Act. Dat verandert als hij bijvoorbeeld sollicitanten selecteert of iemands kredietwaardigheid beoordeelt: dan is een specifieke analyse nodig. Voor agents die in je tools handelen, lees ook ons artikel over AI-agents.
Wat zegt de Gegevensbeschermingsautoriteit?
In België ziet de Gegevensbeschermingsautoriteit (GBA) toe op de GDPR. In september 2024 publiceerde ze een informatiebrochure over AI-systemen en de GDPR.
Die brochure past de principes van de GDPR en de AI Act toe op AI: rechtmatigheid, transparantie, minimale gegevens, juistheid, beveiliging en verantwoordingsplicht. Een goede basis om je project met je jurist af te bakenen.
Checklist: is je chatbot klaar?
Kijk deze tien punten na voor de lancering.
- De chatbot stelt zich vanaf het eerste bericht voor als AI.
- Een link leidt naar een privacybeleid dat de chatbot beschrijft.
- De rechtsgrond van elk gebruik van gegevens is gedocumenteerd.
- De chatbot vraagt alleen de nodige gegevens en weigert gevoelige gegevens.
- Een bewaartermijn is vastgelegd en wordt automatisch toegepast.
- Er is een contract volgens artikel 28 met elke verwerker.
- Doorgifte buiten de EU is in kaart gebracht en omkaderd.
- Je kan de gesprekken van een persoon terugvinden, exporteren en verwijderen.
- Er is een menselijke opvolging voor gevoelige vragen of belangrijke beslissingen.
- De verwerking staat in je register, met een effectbeoordeling als het risico hoog is.
Voor de rest van het project beschrijft onze gids over AI-chatbots de stappen. Antwoordt je chatbot ook op WhatsApp, lees dan ons artikel over de WhatsApp-chatbot.
Aan de slag
Een conforme chatbot ontwerp je vanaf het begin, niet na de lancering. Ontdek onze AI-chatbot, gehost op Europese servers, en test de live demo op je eigen website; je vindt hem ook bij onze AI-demo's. Gratis kennismakingsgesprek van 30 minuten en offerte binnen 24-48 uur.
Veelgestelde vragen
Moet een chatbot zeggen dat hij een AI is?
Ja. Artikel 50 van de Europese AI-verordening, van toepassing sinds 2 augustus 2026, verplicht om mensen te melden dat ze met een AI-systeem communiceren, tenzij dat vanzelfsprekend is. De eenvoudigste aanpak: een welkomstbericht zoals « Hallo, ik ben de virtuele assistent van het bedrijf » en een zichtbare vermelding in het chatvenster.
Heb je toestemming nodig om een chatbot op je website te gebruiken?
Niet per se voor het gesprek zelf. Een vraag beantwoorden kan steunen op precontractuele maatregelen of op het gerechtvaardigd belang. Toestemming wordt nodig voor niet-essentiële cookies, direct marketing of bepaalde gevoelige gegevens. Je kiest de rechtsgrond per verwerking en je documenteert die keuze.
Hoe lang mag je chatbotgesprekken bewaren?
De GDPR legt geen vaste termijn op: jij bepaalt die volgens het doel en je houdt je eraan. Een klantenservicegesprek kan je bewaren zolang je de vraag behandelt en de chatbot verbetert, daarna verwijder of anonimiseer je het. Belangrijk is dat je de termijn vastlegt, meldt en automatiseert.
Mag je een Amerikaans AI-model gebruiken en toch GDPR-conform zijn?
Ja, met het juiste kader. Doorgifte kan als de aanbieder gecertificeerd is onder het EU-VS Data Privacy Framework of standaardcontractbepalingen heeft ondertekend. Veel aanbieders bieden ook verwerking of opslag in Europa aan. Noteer de doorgifte in elk geval in je register en je privacybeleid.
Wie controleert de GDPR in België?
De Gegevensbeschermingsautoriteit (GBA), in het Frans APD. Ze informeert, behandelt klachten en kan sancties opleggen. In september 2024 publiceerde ze een brochure over AI-systemen en de GDPR, handig om een chatbotproject af te bakenen. Voor een concreet geval raadpleeg je een jurist of je functionaris voor gegevensbescherming.
